WordPress tự động chặn bản cập nhật plugin rủi ro cao trước khi phát hành
"WordPress introduced an automated security review step for plugin releases before they are distributed through the WordPress.org update API. The system uses AI models and Jetpack Scan during a cooldown period to score release risk and automatically block high-risk updates, helping prevent malicious code or newly introduced vulnerabilities from reaching users; no CVE is mentioned."
Giảm nguy cơ mã độc và lỗ hổng mới đi vào chuỗi cập nhật; tăng khả năng chặn sớm các bản phát hành rủi ro trước khi đến người dùng.
Có thể làm chậm một số bản phát hành do cooldown 6 giờ và bước kiểm tra bổ sung, nhưng giúp giảm rủi ro sự cố diện rộng và chi phí xử lý sau phát hành.
WordPress cho biết sẽ bổ sung một bước đánh giá bảo mật tự động cho mỗi bản phát hành plugin trước khi phân phối qua WordPress.org update API. Hệ thống này dùng mô hình AI kết hợp với Jetpack Scan trong giai đoạn cooldown để chấm điểm rủi ro và tự động chặn các bản cập nhật có mức nguy cơ cao.
Theo WordPress, mục tiêu là giảm khả năng mã độc hoặc lỗ hổng mới xuất hiện trong bản cập nhật rồi đến tay người dùng cuối. Nền tảng này cho biết đã phát hiện một backdoor trong một bản phát hành của plugin có khoảng 20.000 lượt cài đặt hoạt động vào ngày 28/7/2026; do bản phát hành còn trong thời gian cooldown nên phiên bản bị xâm nhập không được phân phối.
Từ 5/6/2026, mọi plugin và theme của WordPress đều trải qua cooldown trước khi tự động cập nhật. Hiện thời gian này là 6 giờ. Với cơ chế mới, nếu điểm rủi ro vượt ngưỡng, việc phát hành sẽ bị dừng tự động và nhóm phát triển sẽ nhận email thông báo.
Khuyến nghị cho nhà phát triển: rà soát theo WordPress Coding Standards, kiểm tra bằng PHPCS, tránh các mẫu như endpoint thiếu kiểm tra quyền, truy vấn không dùng $wpdb->prepare(), hoặc dùng unserialize() trên dữ liệu đầu vào.